Android Forensik kompakt: Der praxisorientierte Einstieg in die Welt der digitalen Forensik von Android-Geräten

116 Pages·2015·1.56 MB·German

by  Holger Reibold

Table of Contents
Titel
Impressum
Vorwort
1 Was Sie über Forensik wissen sollten
2 Innenleben eines Android-Geräts
3 Kleine App-Referenz
4 Einstieg in die praktische Forensik
5 Daten extrahieren
6 Werkzeugkiste
Anhang – More Info
Weitere Brain-Media.de-Bücher
Holger Reibold

Android Forensik
Alle Rechte vorbehalten. Ohne ausdrückliche, schriftliche Genehmigung des
Verlags ist es nicht gestattet, das Buch oder Teile daraus in irgendeiner Form
durch Fotokopien oder ein anderes Verfahren zu vervielfältigen oder zu
verbreiten. Dasselbe gilt auch für das Recht der öffentlichen Wiedergabe. Der
Verlag macht darauf aufmerksam, dass die genannten Firmen-und Markennamen
sowie Produktbezeichnungen in der Regel marken-, patent-oder
warenrechtlichem Schutz unterliegen.
Verlag und Autor übernehmen keine Gewähr für die Funktionsfähigkeit
beschriebener Verfahren und Standards.

© 2016 Brain-Media.de
Herausgeber: Dr. Holger Reibold
Umschlaggestaltung: Brain-Media.de
Satz: Brain-Media.de
Korrektur: Theresa Tting
Coverbild: Photocase/aremac
Vorwort

Inzwischen kommen rund um den Globus Millionen Smartphones zum Einsatz.
Der Marktanteil der Android-Geräte liegt je nach Quelle bei über 80 Prozent.
Damit ist Googles mobiles Betriebssystem das mit Abstand wichtigste –
Tendenz steigend.
Da mobile Geräte immer leistungsfähiger und vielfältiger einsetzbar werden,
wächst auch die Gefahr, dass Smartphones attackiert oder kompromittiert
werden. Natürlich können Smartphones auch für kriminelle Handlungen
missbraucht werden. Es kann auch vorkommen, dass man eine versehentlich
gelöschte SMS wiederherstellen will. In all diesen Szenarien kommt man mit
forensischen Schritten meist sehr weit.
Dabei kommt uns zugute, dass Android eine offene Struktur besitzt und man
daher in Android-Geräten Spuren nachweisen kann. Oftmals lassen sich sogar
gelöscht SMS, Kontakte etc. rekonstruieren. Abhängig davon, welchen Aufwand
Sie betreiben, ist es sogar möglich, ganze Nutzungsprofile eines mobilen Gerätes
zu generieren.
Die sogenannte Computer-Forensik versucht sich an der Analyse von
womöglich kompromittierten oder missbrauchten Geräten. Dabei dient der erste
Schritt der Analyse und der vollständigen Sicherung der Daten. Dazu legt man
zunächst ein Abbild der gesamten Installation an und macht sich dann an die
Analyse der Sicherung. Nur so ist sichergestellt, dass an den Ausgangsdaten
nicht versehentlich Änderungen vorgenommen werden.
Wenn Sie ein Android-Gerät einer forensischen Analyse zuführen wollen, gibt
es hierfür verschiedene Ansatzpunkte. Die meisten Geräte besitzen eine SD-
Karte, auf der sich die relevanten Informationen befinden. Sie sollten diese Karte
aus dem Gerät entfernt, eine 1-zu-1-Kopie anlegen und können sich dann der
forensischen Analyse widmen. Aber auch die SIM-Karte und andere Speicher
können einer forensischen Analyse zugeführt werden.
Während die klassische IT-Forensik sich meist mit ausgeschalteten oder bereits
lahmgelegten Rechnern befasst, sind die Anforderungen an die forensische
Analyse von Mobilgeräten höher, denn sie sind oftmals eingeschaltet und
enthalten insbesondere flüchtige Daten, die es zu sichern gilt.
Das vorliegende Buch führt Sie in die digitale Forensik von Android-Geräten
ein. Dazu lernen Sie zunächst die Grundlagen der Forensik und deren
Vorgehensweise kennen. Um ein Mobilgeräte einer detaillierten Prüfung
zuzuführen, müssen Sie mit den Interna des Betriebssystems und den möglichen
Speicherorten von relevanten Informationen vertraut sein. Auch das wird
detailliert beschrieben. Mit diesen Grundlagen sind Sie bestens für die praktische
Durchführung von forensischen Analysen gerüstet.

Ich wünsche Ihnen dabei viel Spaß und Erfolg!

Herzlichst,
Holger Reibold

(Januar 2016)
1 Was Sie über Forensik wissen sollten

Mit der wachsenden Verbreitung von Mobilgeräten wächst die Gefahr, dass
diese für unerlaubte oder gar strafbare Handlungen verwendet werden. Aber es
müssen nicht immer gleich kriminelle Aktionen sein, die dazu führen, dass man
Daten rekonstruieren möchte. Auch ein Systemcrash oder ein Fehler in einem
Speichermedium kann dazu führen, dass Daten verloren scheinen und man an
deren Wiederherstellung interessiert ist.
Wir alle schätzen die Möglichkeiten, die uns Smartphones bieten. Uns steht
damit ein vollwertiges und ausgesprochen flexibles sowie leitungsfähiges
System zur Verfügung. Es liegt in der Natur der Sache, dass Techniken
missbraucht werden können.
Die sogenannte IT-Forensik hat zum Ziel, derartige Handlungen und Aktionen
zu sichern und zu bewerten. Dabei sammelt man Daten und Informationen aus
den verschiedensten Quellen und fügt diese wie ein Puzzle zusammen. Die
Ergebnisse einer forensischen Untersuchung können auch als Beweismittel bei
Gerichtsverfahren verwendet werden.
Damit die von Ihnen durchgeführte Aktionen im Zweifel auch einer
gerichtlichen Verwendung genügen, sollten Sie sich eine Vorgehensweise zu
Eigen machen, wie sie vom Bundesamt für Sicherheit in der
Informationstechnologie, kurz BSI, empfohlen wird. Das BSI hat im März 2011
den Leitfaden IT-Forensik (https://www.bsi.bund.de/Sha-
redDocs/Downloads/DE/BSI/Internetsicherheit/Leitfaden_IT-For-
ensik_pdf.html) herausgegeben. Dort sind verschiedene Techniken und Quasi-
Standards dokumentiert, an denen Sie sich orientieren sollten. Tun Sie es nicht,
laufen Sie Gefahr, dass Ihre Auswertungen bei einem Rechtsstreit von der
Gegenseite zerpflückt werden.
Das Ziel von forensischen Untersuchungen ist laut BSI die Beantwortung der
folgenden Fragen:
Was ist geschehen?
Wo ist es passiert?
Wann ist es passiert?
Wie ist es passiert?
Wer hat es getan?
Was kann gegen eine Wiederholung getan werden?
Diese Fragestellungen sollen helfen, die Untersuchungsthese zu untermauern
bzw. zu widerlegen. Letztlich dient die IT-Forensik der Wahrheitsfindung und
bedient sich dabei verschiedenster IT-Techniken und -Werkzeuge.
Damit eine gerichtliche Verwertbarkeit der digitalen Spuren und forensischen
Analyse gewährleistet ist, sind laut BSI folgende Anforderung zu erfüllen:
Akzeptanz: Die verwendeten Methoden und Werkzeuge müssen in der
Fachwelt dokumentiert und anerkannt sein. Dabei muss auch deren
Zuverlässigkeit und Korrektheit sichergestellt sein.
Glaubwürdigkeit: Eine weitere Anforderung setzt die
Glaubwürdigkeit und Funktionalität der angewendeten Methoden voraus.
Das gilt insbesondere für solche Fälle, bei denen komplexe Methoden zum
Einsatz kommen.
Wiederholbarkeit: Die Wiederholung einer forensischen Untersuchung
unter Verwendung der gleichen Schritte, Werkzeuge und Methoden muss
dieselben Ergebnisse erzielen.
Integrität: Bei der forensischen Untersuchung muss sichergestellt werden,
dass die gewonnenen Daten und digitale Spuren unverändert sind. Sie
dürfen kleiner Manipulation unterliegen. Kurz: Ihre Integrität muss
erhalten bleiben.
Authentizität: Der Begriff Authentizität beschreibt die Echtheit der
durchgeführten Untersuchungsschritte und gewonnenen Informationen.
Auch die muss gewährleistet sein.
Ursache und Wirkung: Die forensische Untersuchung soll möglichst
logisch nachvollziehbare Verknüpfungen zwischen Daten, Informationen,
Personen etc. herstellen.
Dokumentation: Schließlich müssen alle bei einer forensischen
Untersuchung durchgeführten Aktionen, Tools, veränderten und
gesicherten Daten sowie gewonnenen Spuren dokumentiert werden. Auch
die Anfertigung einer sogenannten Kontrollkette (Chain of Custody)
gehört dazu.

Wenn Sie einen zweiten Blick auf voranstehende Anforderungen werfen, stellen
Sie fest, dass es wahrlich nicht einfach ist, diese allesamt zu erfüllen.
Die Sicherung des Inhalts des RAM und des Flash-Speichers erfolgt in der Regel
im laufendem Betrieb. Schon hier kann es durch den Kopiervorgang zu
Manipulationen kommen. Damit einher geht eine Verringerung des
Beweiswertes. Auch die Integrität und Wiederholbarkeit können leiden. Ihr Ziel
muss es also daher sein, mögliche Veränderungen so gering wie möglich zu
halten und detailliert zu protokollieren. Eingriffe müssen außerdem sinnvoll und
gerechtfertigt sein. Die Interaktion mit dem Android-Smartphone muss also auf
ein Minimum beschränkt werden.
1.1 Forensische Praktiken
Die Sicherung der Daten, die sich auf dem Android-Gerät befinden, steht am
Anfang aller Aktionen. Dabei werden die als relevant bewerteten Daten auf eine
forensische Workstation übertragen und dort dann einer forensischen
Untersuchung zugeführt. Dabei bedient man sich etablierter Werkzeuge, auf die
wir im Verlauf dieses Buches zu sprechen kommen.
Zunächst stellt sich die Frage, in welcher Reihenfolge die Daten zu sichern sind.
Die Beantwortung ist einfach, die praktische Umsetzung hingegen weniger. Die
Reihenfolge wird von der Flüchtigkeit bestimmt: Je flüchtiger Daten sind, umso
eher müssen sie gesichert werden. Diese Daten findet man überwiegend im
Arbeitsspeicher des Android-Geräts. Verschiedene Apps generieren außerdem
temporäre Dateien. Auch die gehen nach dem Schließen einer Anwendung
häufig verloren und müssen dazu zuerst gesichert werden.
Als Nächstes gilt es eine möglichst vollständige Kopie des zu analysierenden
Systems zu erzeugen. Man erzeugt dazu eine 1-zu-1-Kopie der Speichermedien,
die das Smartphone verwendet. Dabei werden auch die Bereiche kopiert, die sich
außerhalb der Dateisysteme befinden, die das Handy verwendet. Dort findet man
häufig die wirklich interessanten Informationen. Beim Erstellen einer
Sicherungskopie ist insbesondere darauf zu achten, dass Sie keine partielle,
sondern eine vollständige Kopie erzeugen.